Směrnice kybernetické bezpečnosti: co čeká české firmy

Co je směrnice o kybernetické bezpečnosti EU

Evropská unie se dlouhodobě snaží vybudovat jednotný a robustní rámec pro ochranu digitálního prostoru svých členských států. Výsledkem tohoto úsilí je směrnice o kybernetické bezpečnosti, která představuje jeden z nejdůležitějších legislativních nástrojů v oblasti digitální bezpečnosti na kontinentu. Tato směrnice, známá pod zkratkou NIS2 (Network and Information Security Directive 2), nahradila původní směrnici NIS z roku 2016 a přinesla s sebou výrazně přísnější požadavky, širší záběr a jasnější pravidla pro organizace i státy.

Směrnice o kybernetické bezpečnosti EU je právní akt, který stanovuje minimální standardy pro zajištění bezpečnosti sítí a informačních systémů napříč členskými státy Evropské unie. Jejím hlavním cílem je zvýšit celkovou odolnost evropského digitálního prostoru vůči kybernetickým hrozbám, které v posledních letech dramaticky narostly jak co do počtu, tak co do sofistikovanosti. Státy jsou povinny tuto směrnici implementovat do svého národního právního řádu, přičemž mají určitý prostor pro přizpůsobení konkrétním podmínkám, avšak nesmí klesnout pod minimální úroveň ochrany stanovenou unijním právem.

Směrnice NIS2 vstoupila v platnost v lednu 2023 a členské státy měly povinnost ji transponovat do svého národního práva do října 2024. Česká republika v tomto ohledu přijala nový zákon o kybernetické bezpečnosti, který reflektuje požadavky směrnice a rozšiřuje okruh subjektů, na které se povinnosti vztahují. Zatímco původní směrnice NIS pokrývala relativně úzkou skupinu provozovatelů základních služeb a poskytovatelů digitálních služeb, nová směrnice NIS2 výrazně rozšiřuje počet odvětví a organizací, které musí splňovat přísné bezpečnostní požadavky.

Mezi klíčové oblasti, které směrnice reguluje, patří povinnost zavádět technická a organizační opatření k řízení kybernetických rizik, hlášení bezpečnostních incidentů příslušným orgánům a spolupráce na národní i evropské úrovni. Organizace, na které se směrnice vztahuje, jsou rozděleny do dvou kategorií — na tzv. základní subjekty a důležité subjekty — přičemž každá kategorie podléhá odlišné míře dohledu a sankcí v případě porušení povinností. Za nedodržení požadavků směrnice hrozí organizacím velmi vysoké pokuty, které mohou dosáhnout desítek milionů eur nebo procentuálního podílu z celkového ročního obratu.

Směrnice rovněž klade důraz na bezpečnost dodavatelského řetězce, což znamená, že organizace musí věnovat pozornost nejen vlastní infrastruktuře, ale také bezpečnostní úrovni svých dodavatelů a partnerů. Tato oblast se ukázala jako obzvláště kritická po sérii útoků, které využívaly zranitelností v softwaru třetích stran. Kybernetická bezpečnost tak přestává být čistě technickou záležitostí a stává se strategickou prioritou na úrovni vedení organizací.

Důležitým prvkem směrnice je také posílení role národních orgánů pro kybernetickou bezpečnost a vytvoření mechanismů pro sdílení informací o hrozbách mezi členskými státy. Evropská agentura pro kybernetickou bezpečnost ENISA hraje v tomto systému klíčovou koordinační roli a pomáhá budovat společné kapacity. Celý systém směřuje k vytvoření skutečně jednotného evropského kybernetického prostoru, kde jsou rizika sdílena a řešena společně, nikoliv izolovaně na úrovni jednotlivých států.

Historický vývoj od NIS k NIS2

Evropská unie se problematikou kybernetické bezpečnosti začala systematicky zabývat již v prvním desetiletí tohoto století, kdy bylo zřejmé, že digitalizace společnosti s sebou přináší nejen obrovské příležitosti, ale také zcela nová rizika. Tehdy ještě nikdo netušil, jak zásadní roli bude kybernetická bezpečnost hrát v každodenním životě firem, institucí i běžných občanů. Postupně se ukazovalo, že fragmentovaný přístup jednotlivých členských států nestačí a že je třeba vytvořit jednotný evropský rámec.

Směrnice NIS, tedy Network and Information Security, byla přijata v roce 2016 a stala se historicky prvním ucelených právním předpisem Evropské unie věnovaným kybernetické bezpečnosti. Její vznik byl reakcí na rostoucí počet kybernetických incidentů, které postihovaly kritickou infrastrukturu napříč celou Evropou. Členské státy byly povinny tuto směrnici implementovat do svých národních právních řádů do roku 2018, přičemž Česká republika tak učinila prostřednictvím zákona o kybernetické bezpečnosti a jeho prováděcích předpisů. Směrnice NIS zavedla základní povinnosti pro provozovatele základních služeb, jako jsou energetika, doprava, zdravotnictví nebo bankovnictví, a také pro poskytovatele digitálních služeb.

Nicméně praxe ukázala, že původní směrnice trpí celou řadou nedostatků. Jedním z největších problémů bylo nejednotné uplatňování pravidel v různých členských státech, kdy některé země přistupovaly k implementaci velmi přísně, zatímco jiné zůstávaly spíše u formálního splnění minimálních požadavků. Výsledkem byl roztříštěný evropský kybernetický prostor, v němž platily fakticky odlišné standardy bezpečnosti. To bylo problematické zejména proto, že kybernetické hrozby nepřiznávají státní hranice a útočníci mohli snadno využívat slabých míst v méně chráněných zemích jako vstupní brány do celé evropské digitální infrastruktury.

Dalším zásadním nedostatkem původní směrnice NIS bylo její relativně úzké věcné vymezení. Mnoho odvětví, která jsou dnes považována za kritická z hlediska kybernetické bezpečnosti, původní směrnice vůbec nepostihovala. Rozmach cloudových služeb, nástup průmyslového internetu věcí nebo masové rozšíření práce na dálku v době pandemie covidu-19 ukázaly, jak rychle se digitální prostředí mění a jak snadno může regulace zaostávat za realitou.

Evropská komise proto zahájila revizi směrnice NIS a po rozsáhlých konzultacích s členskými státy, odbornou veřejností i soukromým sektorem předložila návrh nové, výrazně ambicióznější směrnice. Směrnice NIS2 byla přijata v prosinci 2022 a členské státy měly povinnost ji transponovat do svých právních řádů do října 2024. Oproti svému předchůdci přináší NIS2 celou řadu zásadních změn, které výrazně rozšiřují jak věcný, tak osobní rozsah povinností v oblasti kybernetické bezpečnosti.

Nová směrnice přestala rozlišovat mezi provozovateli základních služeb a poskytovateli digitálních služeb a nahradila toto dělení kategoriemi základních a důležitých subjektů, přičemž kritéria pro zařazení do těchto kategorií jsou podstatně širší než dříve. Do působnosti NIS2 nově spadají například poštovní a kurýrní služby, zpracování odpadů, výroba vybraných produktů nebo veřejná správa. Tím se okruh povinných subjektů v celé Evropské unii dramaticky rozrostl a odhaduje se, že v České republice se povinnosti vztahují na několikanásobně více organizací než za éry původní směrnice NIS.

Zvýšily se také požadavky na řízení kybernetických rizik, hlášení incidentů a odpovědnost managementu za stav kybernetické bezpečnosti v organizaci. Vedoucí pracovníci povinných subjektů jsou nově osobně odpovědní za schvalování bezpečnostních opatření a mohou čelit osobním sankcím v případě závažného zanedbání povinností. To představuje zásadní kulturní posun, protože kybernetická bezpečnost přestává být výhradně technickou záležitostí IT oddělení a stává se strategickou prioritou celého vedení organizace.

Historický vývoj od NIS k NIS2 tedy odráží postupné dozrávání evropského přístupu ke kybernetické bezpečnosti. Zatímco původní směrnice NIS byla spíše prvním krokem do neznámého území, NIS2 představuje výsledek několikaletých zkušeností s reálnými kybernetickými hrozbami a snahou o vytvoření skutečně harmonizovaného a robustního bezpečnostního prostředí v celém digitálním jednotném trhu Evropské unie.

Kybernetická bezpečnost není jen technický problém, který lze vyřešit zakoupením nejnovějšího softwaru nebo instalací firewallu. Je to komplexní disciplína, která vyžaduje propracované směrnice, jasně definované procesy a především lidský faktor – tedy lidi, kteří rozumí hrozbám, dokáží na ně reagovat a neustále se vzdělávají. Bez pevného regulatorního rámce jsme pouhými pozorovateli vlastní zranitelnosti.

Radovan Šimánek

Hlavní cíle nové evropské legislativy

Evropská unie se v posledních letech intenzivně zabývá otázkou kybernetické bezpečnosti, a to zejména v kontextu rostoucích hrozeb, které přicházejí z digitálního prostoru. Nová směrnice o kybernetické bezpečnosti, známá jako NIS2, představuje zásadní krok vpřed v tom, jak členské státy přistupují k ochraně svých kritických infrastruktur a digitálních systémů. Tato legislativa nahrazuje původní směrnici NIS z roku 2016 a přináší s sebou výrazně přísnější požadavky, širší záběr regulace a mnohem konkrétnější povinnosti pro celou řadu subjektů, které dosud stály mimo dosah podobné regulace.

Jedním z klíčových záměrů nové směrnice je harmonizace přístupu k řízení kybernetických rizik napříč celou Evropskou unií. Dosavadní stav byl do značné míry roztříštěný – každý členský stát si vytvářel vlastní pravidla, vlastní standardy a vlastní mechanismy dohledu, což vedlo k situaci, kdy úroveň ochrany v různých zemích výrazně kolísala. Právě tato nerovnoměrnost byla jednou z největších slabin předchozího systému, protože kybernetické hrozby nepotřebují víza ani hraniční kontroly. Útočník, který najde slabé místo v jednom státě, může prostřednictvím propojených sítí ohrozit celý kontinent.

Směrnice NIS2 proto klade velký důraz na povinnou spolupráci mezi členskými státy a na vytváření společných mechanismů pro sdílení informací o hrozbách a incidentech. Orgány jako ENISA, tedy Agentura Evropské unie pro kybernetickou bezpečnost, dostávají v tomto rámci výrazně silnější roli. Nejde jen o poradenství a doporučení, ale o aktivní koordinaci a podporu při zvládání rozsáhlých kybernetických krizí, které mohou mít přeshraniční dopad.

Dalším zásadním cílem je rozšíření okruhu subjektů, na které se povinnosti vztahují. Zatímco původní směrnice se zaměřovala převážně na provozovatele základních služeb a poskytovatele digitálních služeb v relativně úzkém výběru odvětví, NIS2 výrazně rozšiřuje tento seznam. Nově jsou do regulace zahrnuty například subjekty z oblasti veřejné správy, poštovní a kurýrní služby, zpracování odpadů, výroba potravin, chemický průmysl nebo výrobci zdravotnických prostředků. Toto rozšíření odráží realitu dnešního světa, kde jsou prakticky všechna odvětví závislá na digitálních technologiích a kde výpadek nebo kompromitace jednoho sektoru může mít kaskádové dopady na celou ekonomiku a společnost.

Nová legislativa rovněž velmi konkrétně definuje, co se od dotčených subjektů očekává v oblasti řízení kybernetických rizik. Nestačí mít obecnou bezpečnostní politiku nebo provádět příležitostné audity. Organizace musí zavést systematické procesy pro identifikaci a hodnocení rizik, musí mít připravené plány pro zvládání incidentů, musí zajistit bezpečnost dodavatelského řetězce a musí pravidelně školit své zaměstnance. Zvláštní pozornost je věnována bezpečnosti dodavatelských řetězců, protože právě skrze dodavatele a subdodavatele pronikají útočníci do jinak dobře chráněných systémů.

Oznamovací povinnosti jsou dalším pilířem, který NIS2 výrazně posiluje. Organizace jsou povinny hlásit závažné kybernetické incidenty příslušným národním orgánům ve velmi krátkých lhůtách. Počáteční oznámení musí proběhnout do 24 hodin od okamžiku, kdy se organizace o incidentu dozví, a podrobnější zpráva pak do 72 hodin. Tento požadavek má zajistit, aby příslušné orgány mohly rychle reagovat, koordinovat pomoc a případně varovat další potenciálně ohrožené subjekty. Transparentnost v tomto ohledu není vnímána jako slabost, ale jako nezbytný předpoklad pro efektivní kolektivní obranu.

Nelze přehlédnout ani výrazné posílení sankcí za nedodržování povinností. Nová směrnice zavádí finanční pokuty, které jsou svou výší srovnatelné s těmi, jež známe z oblasti ochrany osobních údajů podle nařízení GDPR. Pro tzv. základní subjekty mohou pokuty dosáhnout až deseti milionů eur nebo dvou procent celkového celosvětového ročního obratu, přičemž platí ta vyšší hodnota. Pro důležité subjekty jsou limity o něco nižší, ale stále dostatečně vysoké na to, aby představovaly skutečnou motivaci k dodržování pravidel. Tato tvrdší sankční politika jasně signalizuje, že Evropská unie bere kybernetickou bezpečnost jako strategickou prioritu, nikoli jako administrativní formalitu.

Které organizace musí splnit požadavky

Rozsah působnosti směrnice o kybernetické bezpečnosti je poměrně široký a zahrnuje celou řadu subjektů, které musí splnit stanovené požadavky. Základní rozdělení vychází z toho, zda daná organizace působí v odvětví, které je považováno za kritické pro fungování společnosti a ekonomiky. Směrnice rozlišuje mezi dvěma základními kategoriemi subjektů, a to takzvanými základními subjekty a důležitými subjekty. Toto rozdělení není jen formální záležitostí, protože každá z těchto kategorií podléhá odlišnému režimu dohledu a kontroly ze strany příslušných orgánů.

Srovnání směrnic kybernetické bezpečnosti EU: NIS vs. NIS2

Parametr	Směrnice NIS (2016/1148)	Směrnice NIS2 (2022/2555)
Rok přijetí	2016	2022
Datum účinnosti v EU	8. srpna 2016	16. ledna 2023
Lhůta pro implementaci členskými státy	Do května 2018	Do října 2024
Počet dotčených sektorů	7 sektorů (energie, doprava, bankovnictví, zdravotnictví aj.)	18 sektorů (rozšíření o poštovní služby, odpadní hospodářství, vesmír aj.)
Kategorie subjektů	Provozovatelé základních služeb, poskytovatelé digitálních služeb	Základní subjekty (Essential), Důležité subjekty (Important)
Odhadovaný počet dotčených subjektů v EU	Přibližně 10 000 subjektů	Přibližně 160 000 subjektů
Maximální výše sankce	Stanovena individuálně každým členským státem	10 000 000 EUR nebo 2 % celosvětového ročního obratu
Lhůta pro hlášení incidentu	Bez přesně stanovené lhůty (bez zbytečného odkladu)	24 hodin (prvotní varování), 72 hodin (hlášení incidentu)
Odpovědnost vedení organizace	Není explicitně stanovena	Explicitně stanovena, management musí absolvovat školení
Požadavky na dodavatelský řetězec	Minimální, nepovinné	Povinné hodnocení bezpečnosti dodavatelského řetězce
Sdílení informací o hrozbách	Dobrovolné	Povinné v rámci sítě CSIRT a skupiny pro spolupráci
Minimální bezpečnostní opatření	Obecná doporučení bez konkrétního výčtu	10 konkrétně definovaných kategorií opatření (šifrování, MFA, zálohování aj.)
Implementace v České republice	Zákon č. 181/2014 Sb. (zákon o kybernetické bezpečnosti)	Novela zákona o kybernetické bezpečnosti – zákon č. 429/2023 Sb.
Dozorový orgán v ČR	Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB)	Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB)

Mezi základní subjekty patří organizace působící v odvětvích, která jsou považována za klíčová pro chod celé společnosti. Jde především o poskytovatele energií, tedy společnosti zajišťující distribuci elektřiny, plynu nebo tepla. Dále sem spadají subjekty z oblasti dopravy, ať už se jedná o leteckou, železniční, vodní nebo silniční dopravu. Bankovní sektor a infrastruktura finančních trhů rovněž patří do této kategorie, stejně jako zdravotnictví, které zahrnuje nemocnice, výzkumné laboratoře i výrobce léčiv. Vodní hospodářství, tedy správa pitné vody a odpadních vod, je dalším odvětvím, na které se vztahují nejpřísnější požadavky. Digitální infrastruktura, kam patří poskytovatelé internetových uzlů, DNS služeb nebo cloudových platforem, tvoří další skupinu základních subjektů. Veřejná správa na centrální i regionální úrovni musí rovněž splňovat přísná pravidla kybernetické bezpečnosti, protože útoky na státní instituce mohou mít dalekosáhlé následky pro celou společnost.

Důležité subjekty zahrnují organizace z dalších odvětví, která sice nejsou tak kritická jako ta výše zmíněná, ale přesto hrají významnou roli v ekonomice a společnosti. Poštovní a kurýrní služby, výrobci chemických látek, potravinářský průmysl nebo výrobci různých zařízení a strojů patří právě do této skupiny. Poskytovatelé digitálních služeb, jako jsou online tržiště, vyhledávače nebo platformy pro sociální sítě, musí také splnit požadavky směrnice, i když se na ně vztahuje o něco mírnější režim dohledu.

Klíčovým kritériem pro zařazení do jedné z těchto kategorií je velikost organizace. Obecně platí, že střední a velké podniky, tedy ty s více než padesáti zaměstnanci nebo s ročním obratem přesahujícím deset milionů eur, musí požadavky směrnice splnit. Malé a mikropodniky jsou z působnosti směrnice v zásadě vyňaty, i když existují výjimky pro ty, které působí v obzvláště citlivých odvětvích nebo jsou jedinými poskytovateli určité klíčové služby v daném státě.

Je důležité zdůraznit, že samotné organizace si nemohou jednoduše zvolit, zda do působnosti směrnice spadají nebo ne. Příslušné národní orgány mají povinnost sestavit seznam subjektů, na které se požadavky vztahují, a tyto organizace o tom informovat. Přesto se doporučuje, aby každá organizace sama provedla vlastní analýzu a posoudila, zda kritéria splňuje, a to ještě před tím, než ji příslušný orgán osloví. Nedodržení povinností vyplývajících ze směrnice může vést k vysokým pokutám, které mohou dosahovat až deseti milionů eur nebo dvou procent celkového ročního obratu organizace.

Zvláštní pozornost si zaslouží také dodavatelský řetězec, protože i organizace, které formálně nespadají do žádné z výše zmíněných kategorií, mohou být nepřímo dotčeny požadavky směrnice. Pokud totiž dodávají zboží nebo služby subjektům, které pod směrnici spadají, mohou být smluvně zavázány k dodržování určitých bezpečnostních standardů. Kybernetická bezpečnost se tak stává záležitostí, která se dotýká prakticky celého podnikatelského prostředí, a nikoli jen vybraných odvětví.

Povinnosti firem v oblasti hlášení incidentů

Každá firma, která dnes operuje v digitálním prostředí, musí počítat s tím, že dříve nebo později narazí na bezpečnostní incident. Otázka nestojí tak, zda se to stane, ale kdy. Právě proto evropská legislativa v posledních letech výrazně zpřísnila požadavky na to, jak organizace takové situace řeší a zejména jak je hlásí příslušným orgánům. Směrnice o kybernetické bezpečnosti, známá jako NIS2, představuje zásadní přelom v tom, jak jsou firmy povinny přistupovat k oznamování bezpečnostních incidentů.

Základní premisou celé směrnice je, že kybernetické hrozby nepředstavují pouze problém jednotlivých firem, ale mají potenciál ohrozit celou společnost, kritickou infrastrukturu i fungování státu. Z tohoto důvodu zákonodárci na evropské úrovni rozhodli, že firmy nemohou incidenty řešit pouze interně a tiše, ale musí o nich informovat regulátory, a v některých případech i veřejnost. Tento přístup byl v minulosti vnímán jako kontroverzní, protože firmy se obávaly reputačních škod, ale dnes je považován za nezbytný nástroj kolektivní obrany.

Podle směrnice NIS2 jsou povinnosti hlášení incidentů rozděleny do několika časových fází. V první fázi musí dotčená organizace podat takzvaný předběžný oznamovací formulář, a to do 24 hodin od okamžiku, kdy se o incidentu dozví. Tento první krok nevyžaduje kompletní analýzu situace, ale slouží k tomu, aby příslušný národní orgán věděl, že se něco děje, a mohl případně koordinovat pomoc nebo varovat další subjekty. Jde o velmi krátkou lhůtu, která klade vysoké nároky na interní procesy firem.

Ve druhé fázi, která nastává nejpozději do 72 hodin od zjištění incidentu, je firma povinna podat podrobnější zprávu, která by měla obsahovat první hodnocení závažnosti incidentu, jeho pravděpodobnou příčinu a přijatá opatření. Tato lhůta je shodná s tou, která platí pro hlášení porušení ochrany osobních údajů podle nařízení GDPR, což není náhoda – zákonodárci se snažili harmonizovat různé oznamovací povinnosti tak, aby firmy nebyly zahlceny navzájem si odporujícími požadavky.

Třetí fáze pak zahrnuje závěrečnou zprávu, která musí být podána do jednoho měsíce od zjištění incidentu. Tato zpráva by měla obsahovat podrobnou analýzu toho, co se stalo, jaké zranitelnosti byly zneužity, jaký byl skutečný dopad na provoz organizace a jaká opatření byla přijata k tomu, aby se podobná situace neopakovala. Právě tato závěrečná zpráva je klíčovým dokumentem pro regulátory, kteří na jejím základě posuzují, zda firma jednala v souladu se svými povinnostmi.

Firmy, které nesplní tyto oznamovací povinnosti, se vystavují značným sankcím. Směrnice NIS2 zavádí pro takzvané základní subjekty možnost pokut až do výše 10 milionů eur nebo 2 % celosvětového ročního obratu, přičemž platí ta vyšší z obou hodnot. Pro důležité subjekty pak platí nižší, ale stále velmi citelné limity ve výši 7 milionů eur nebo 1,4 % obratu. Tyto sankce jsou srovnatelné s pokutami podle GDPR a jasně signalizují, že evropský zákonodárce bere kybernetickou bezpečnost naprosto vážně.

Důležité je také pochopit, co se vlastně považuje za incident, který musí být hlášen. Ne každý bezpečnostní problém automaticky spouští oznamovací povinnost. Směrnice hovoří o takzvaných významných incidentech, tedy těch, které mají nebo mohou mít závažný dopad na poskytování služeb nebo na jiné organizace. Při posuzování závažnosti se bere v úvahu počet dotčených uživatelů, délka trvání výpadku, geografický rozsah, míra narušení fungování služby nebo ekonomická škoda. Firmy tedy musí mít nastaveny interní procesy, které jim umožní rychle posoudit, zda konkrétní incident dosahuje prahu pro povinné hlášení.

Česká republika transponovala směrnici NIS2 do národního právního řádu prostřednictvím nového zákona o kybernetické bezpečnosti, přičemž dohledovým orgánem zůstává Národní úřad pro kybernetickou a informační bezpečnost, tedy NÚKIB. Firmy, které spadají do působnosti tohoto zákona, jsou povinny se u NÚKIB registrovat a plnit všechny povinnosti, včetně těch oznamovacích. NÚKIB zároveň vydává metodické pokyny a doporučení, jak oznamovací procesy správně nastavit.

Pro mnoho firem představuje splnění těchto požadavků značnou organizační výzvu. Je nutné nejen technicky detekovat incidenty v reálném čase, ale také mít jasně definované interní postupy, odpovědné osoby a komunikační kanály, které umožní rychlé rozhodování a podání hlášení v zákonem stanovených lhůtách. Firmy, které dosud neměly formalizované procesy pro řešení incidentů, musí tyto procesy vybudovat prakticky od základů. To vyžaduje investice do technologií, ale především do lidí a jejich vzdělávání.

Nové sankce za nedodržení pravidel

Evropská unie se v posledních letech výrazně zaměřila na oblast kybernetické bezpečnosti a s tím přišly i zásadní změny v oblasti sankcí, které mohou postihnout organizace neplnící stanovené povinnosti. Nová směrnice o kybernetické bezpečnosti, známá jako NIS2, přinesla oproti svému předchůdci podstatně přísnější postih za nedodržení pravidel, přičemž výše pokut a dalších opatření může v některých případech existenci dotčených subjektů přímo ohrozit.

Základní rámec sankcí vychází z principu proporcionality, avšak zároveň klade důraz na odstrašující účinek. Organizace, které jsou klasifikovány jako takzvané základní subjekty, tedy ty, jež provozují kritickou infrastrukturu nebo poskytují klíčové služby, mohou čelit pokutám až do výše deseti milionů eur, případně dvou procent celkového celosvětového ročního obratu, přičemž se vždy uplatní vyšší z těchto dvou hodnot. To je zásadní posun oproti dřívějšímu stavu, kdy byly sankce v mnoha členských státech spíše symbolické a jejich odstrašující efekt byl přinejmenším diskutabilní.

Důležité subjekty, tedy organizace, které nespadají do kategorie základních, ale přesto podléhají regulaci, mohou být postiženy pokutami až do výše sedmi milionů eur nebo jednoho a půl procenta jejich celosvětového obratu. I tato čísla jsou v porovnání s předchozím stavem výrazně vyšší a signalizují, že Evropská unie bere kybernetickou bezpečnost jako skutečnou prioritu, nikoliv pouze jako formální záležitost.

Sankce však nejsou jedinou formou postihu, s níž musí organizace počítat. Směrnice zavádí také možnost dočasného zákazu výkonu řídících funkcí pro manažery, kteří prokazatelně zanedbali svou povinnost zajistit přiměřenou úroveň kybernetické bezpečnosti. Tento aspekt je zcela nový a představuje osobní odpovědnost vedoucích pracovníků, která v předchozí úpravě prakticky neexistovala. Jednatelé, členové představenstev a další odpovědné osoby tak nemohou nadále přenášet veškerou zodpovědnost na technické oddělení nebo externího dodavatele bezpečnostních služeb.

Regulatorní orgány dostaly rovněž rozšířené pravomoci v oblasti dohledu a kontroly. Mohou provádět namátkové audity, vyžadovat předložení dokumentace, přistupovat k systémům a infrastruktuře organizací a v případě zjištění závažných nedostatků nařídit okamžitá nápravná opatření. Pokud organizace tato opatření ve stanoveném termínu nesplní, mohou být sankce ještě navýšeny nebo může být vydán příkaz k pozastavení poskytování určitých služeb.

Zvláštní pozornost si zaslouží také oblast hlášení bezpečnostních incidentů. Směrnice stanoví přísné lhůty, v nichž musí organizace informovat příslušné národní orgány o závažných kybernetických incidentech. Nedodržení těchto lhůt samo o sobě představuje porušení povinností a může být základem pro uložení sankce, a to i v případě, že samotný incident byl zvládnut technicky správně. Prvotní oznámení musí proběhnout do čtyřiadvaceti hodin od zjištění incidentu, podrobnější zpráva pak do sedmdesáti dvou hodin.

Česká republika, stejně jako ostatní členské státy, musela tuto směrnici implementovat do svého národního právního řádu. Zákon o kybernetické bezpečnosti byl v návaznosti na NIS2 aktualizován a příslušné sankční mechanismy byly začleněny do české legislativy. Národní úřad pro kybernetickou a informační bezpečnost, tedy NÚKIB, byl posílen jak personálně, tak z hlediska svých pravomocí, aby byl schopen efektivně dohlížet na dodržování nových pravidel.

Pro organizace to znamená, že přístup „počkáme, co se stane již není udržitelnou strategií. Investice do kybernetické bezpečnosti přestaly být vnímány jako volitelný výdaj a staly se nutností, jejíž zanedbání může mít fatální finanční i reputační důsledky. Vedení firem a institucí musí aktivně sledovat vývoj legislativy, průběžně vyhodnocovat svůj bezpečnostní stav a přijímat opatření odpovídající aktuálním hrozbám. Sankce za nedodržení pravidel jsou nyní dostatečně vysoké na to, aby si je nikdo nemohl dovolit ignorovat.

Rozdíl mezi základními a důležitými subjekty

Směrnice o kybernetické bezpečnosti, známá jako NIS2, přinesla do evropského legislativního prostředí zásadní změnu v tom, jak jsou organizace klasifikovány a jaké povinnosti jim z toho vyplývají. Jedním z nejdůležitějších aspektů celé směrnice je právě rozlišení mezi takzvanými základními a důležitými subjekty, přičemž toto dělení má přímý dopad na rozsah povinností, intenzitu dohledu ze strany regulátorů a výši případných sankcí při nedodržení stanovených pravidel.

Základní subjekty představují organizace, které jsou považovány za naprosto klíčové pro fungování společnosti a ekonomiky. Patří sem například poskytovatelé energií, provozovatelé vodovodů a kanalizací, subjekty působící v dopravní infrastruktuře, bankovní instituce, poskytovatelé zdravotní péče nebo provozovatelé digitální infrastruktury. Tito hráči jsou pod přísnějším dohledem, protože případný výpadek jejich služeb nebo narušení jejich kybernetické bezpečnosti by mohlo mít kaskádový efekt na celou společnost a způsobit škody, které by bylo velmi obtížné napravit v krátkém časovém horizontu.

Důležité subjekty jsou naproti tomu organizace, jejichž selhání by sice mělo závažné dopady, ale ne v tak bezprostřední a rozsáhlé míře jako u základních subjektů. Do této kategorie spadají například poskytovatelé poštovních a kurýrních služeb, výrobci určitých kategorií zboží, subjekty z oblasti chemického průmyslu nebo zpracování odpadů. Toto rozlišení není pouze formální záležitostí, ale má velmi konkrétní praktické důsledky pro každodenní provoz dotčených organizací.

Z hlediska dohledu platí, že základní subjekty podléhají takzvanému proaktivnímu neboli ex ante dohledu, což znamená, že příslušné orgány mohou provádět kontroly a audity i bez toho, aby předem existovalo podezření na porušení pravidel. Důležité subjekty jsou naproti tomu podrobeny reaktivnímu dohledu, tedy ex post přístupu, kdy regulátoři zasahují primárně tehdy, pokud existuje konkrétní podnět nebo důkaz o možném porušení povinností. Tento rozdíl je v praxi velmi podstatný, protože základní subjekty musí být neustále připraveny na neohlášené kontroly a musí mít veškerou dokumentaci a bezpečnostní opatření v naprostém pořádku za každých okolností.

Sankce za porušení povinností se u obou kategorií rovněž liší. Základním subjektům hrozí pokuty až do výše deseti milionů eur nebo dvou procent celkového ročního obratu, přičemž se vždy uplatní ta vyšší částka. Důležitým subjektům pak hrozí sankce až do výše sedmi milionů eur nebo 1,4 procenta ročního obratu. I zde platí pravidlo vyšší z obou hodnot. Tyto částky jsou dostatečně vysoké na to, aby motivovaly organizace k tomu, aby kybernetickou bezpečnost nebraly na lehkou váhu.

Zajímavým aspektem celé problematiky je skutečnost, že zařazení do té či oné kategorie nezávisí pouze na odvětví, ve kterém organizace působí, ale také na její velikosti a celkovém dopadu, který by její případné selhání mělo. Směrnice NIS2 přitom stanovila, že středně velké a velké podniky v určených odvětvích automaticky spadají pod její působnost, zatímco malé podniky jsou obecně vyňaty, pokud nesplňují specifická kritéria klíčovosti.

Organizace by proto neměly podceňovat proces vlastní klasifikace a měly by důkladně prověřit, do které kategorie podle platné legislativy patří. Chybné zařazení nebo dokonce ignorování povinnosti registrace může mít závažné právní a finanční následky. Celý systém dělení na základní a důležité subjekty tak odráží snahu evropských zákonodárců o proporcionální přístup k regulaci kybernetické bezpečnosti, kdy míra povinností odpovídá míře rizika, které daná organizace pro společnost představuje.

Jak směrnice ovlivní české podniky

České podniky se ocitají na prahu zásadní změny, která přepíše pravidla hry v oblasti digitální bezpečnosti. Směrnice NIS2, jež nahradila původní směrnici NIS z roku 2016, přináší výrazné rozšíření okruhu subjektů, které musí splňovat přísné požadavky na kybernetickou bezpečnost. Zatímco dříve se povinnosti týkaly relativně úzkého okruhu provozovatelů kritické infrastruktury, nyní se síť povinných subjektů dramaticky rozrůstá a zahrnuje tisíce českých firem napříč různými odvětvími.

Dopad na české firmy je mnohem širší, než si mnozí podnikatelé uvědomují. Nová pravidla se vztahují nejen na velké korporace, ale také na střední podniky působící v klíčových sektorech, jako jsou energetika, doprava, zdravotnictví, bankovnictví, vodní hospodářství nebo digitální infrastruktura. Firmy s více než padesáti zaměstnanci nebo ročním obratem přesahujícím deset milionů eur, které působí v těchto oblastech, se náhle ocitají pod drobnohledem regulátorů.

Česká republika musela směrnici transponovat do národního právního řádu, přičemž zákon o kybernetické bezpečnosti prošel zásadní novelizací. Národní úřad pro kybernetickou a informační bezpečnost, zkráceně NÚKIB, převzal roli hlavního dozorového orgánu, který bude kontrolovat plnění povinností a v případě porušení udělovat sankce. Ty mohou dosáhnout až deseti milionů eur nebo dvou procent celkového ročního obratu podniku, přičemž se vždy uplatní vyšší z obou částek. To jsou čísla, která mohou existenčně ohrozit i jinak stabilní společnosti.

Pro samotné podniky to znamená především nutnost provést důkladnou analýzu rizik a zavést odpovídající technická a organizační opatření. Nestačí pouze nainstalovat antivirový software nebo firewall — směrnice vyžaduje systémový přístup k bezpečnosti, který zahrnuje pravidelné testování odolnosti systémů, školení zaměstnanců, nastavení procesů pro zvládání bezpečnostních incidentů a zajištění kontinuity provozu i v případě kybernetického útoku. Firmy musí rovněž myslet na bezpečnost celého dodavatelského řetězce, což v praxi znamená prověřování svých obchodních partnerů a dodavatelů technologií.

Zvláštní pozornost si zaslouží povinnost hlásit závažné bezpečnostní incidenty. Podniky mají na první oznámení pouhých čtyřiadvacet hodin od okamžiku, kdy se o incidentu dozví, přičemž do sedmdesáti dvou hodin musí poskytnout podrobnější informace a do měsíce předložit závěrečnou zprávu. Tato lhůta je pro mnoho firem, které dosud neměly nastaveny žádné interní procesy pro řešení incidentů, velmi náročná.

Realita českého podnikatelského prostředí je taková, že velká část dotčených firem na implementaci směrnice není připravena. Průzkumy ukazují, že mnoho středních podniků dosud neprovedlo ani základní audit kybernetické bezpečnosti, natož aby měly zpracovanou komplexní bezpečnostní strategii. Investice do kybernetické bezpečnosti přitom nelze odkládat — hrozby ze strany hackerů, státem sponzorovaných útočníků i organizovaného zločinu narůstají každým rokem a české firmy jsou jejich terčem stále častěji.

Odborníci upozorňují, že implementace požadavků směrnice není záležitostí týdnů, ale měsíců intenzivní práce. Firmy musí počítat s náklady na technologická řešení, personální posílení bezpečnostních týmů nebo outsourcing bezpečnostních služeb, a v neposlední řadě také s náklady na vzdělávání. Trh s odborníky na kybernetickou bezpečnost je přitom v České republice dlouhodobě přetížen a poptávka výrazně převyšuje nabídku, což tlačí mzdy specialistů do výšin, které si menší firmy jen těžko mohou dovolit.

Přes veškeré výzvy však směrnice přináší i pozitivní impulz — nutí firmy konečně brát kybernetickou bezpečnost vážně a investovat do oblasti, která byla dlouhá léta podceňována. Firmy, které se s požadavky směrnice vypořádají včas a důkladně, získají nejen soulad s legislativou, ale také skutečnou konkurenční výhodu v podobě vyšší odolnosti vůči útokům, větší důvěryhodnosti v očích zákazníků a partnerů a lepší připravenosti na digitální budoucnost.

Implementace do českého právního řádu

Česká republika se v otázce implementace evropských směrnic o kybernetické bezpečnosti ocitla v situaci, která vyžadovala nejen legislativní změny, ale také zásadní přehodnocení celého přístupu státu k ochraně digitální infrastruktury. Proces přenášení unijních pravidel do domácího právního prostředí nebyl nikdy jednoduchý a v oblasti kybernetické bezpečnosti to platí dvojnásob, neboť technologická realita se mění rychleji, než stačí zákonodárci reagovat.

Zákon č. 181/2014 Sb., o kybernetické bezpečnosti, představoval první systematický pokus o zakotvení pravidel v této oblasti do českého práva. Tento zákon vznikl ještě před přijetím první evropské směrnice o bezpečnosti sítí a informačních systémů, takzvaná NIS směrnice, a Česká republika tak paradoxně patřila mezi státy, které měly určitý zákonný rámec dříve, než jej Evropská unie formálně vyžadovala. Nicméně s příchodem směrnice NIS a posléze její revidované verze NIS2 bylo nutné tuzemskou legislativu přizpůsobit novým požadavkům, které jsou podstatně přísnější a rozsahem působnosti výrazně širší.

Implementace směrnice NIS2, jež vstoupila v platnost na úrovni Evropské unie v lednu 2023 a jejíž transpozice měla být dokončena do října 2024, si vyžádala přípravu zcela nového zákona o kybernetické bezpečnosti. Národní úřad pro kybernetickou a informační bezpečnost, zkráceně NÚKIB, hrál v tomto procesu klíčovou roli, neboť právě tento úřad je gestorem kybernetické bezpečnosti v České republice a jeho odborníci se podíleli na přípravě legislativního textu, který musel věrně odrážet požadavky unijní směrnice, ale zároveň respektovat specifika českého právního systému.

Jednou z nejvýznamnějších změn, které nová implementace přinesla, je výrazné rozšíření okruhu subjektů, na něž se povinnosti v oblasti kybernetické bezpečnosti vztahují. Zatímco původní zákon dopadal na relativně úzkou skupinu provozovatelů kritické informační infrastruktury a správců informačních systémů základních služeb, nová úprava zahrnuje podstatně více odvětví a kategorií organizací. Rozlišuje přitom mezi takzvanými základními subjekty a důležitými subjekty, přičemž pro každou kategorii stanoví odlišnou intenzitu povinností a odlišný režim dohledu.

Povinnosti, které zákon ukládá regulovaným subjektům, zahrnují celou řadu oblastí od řízení rizik přes bezpečnostní politiky až po hlášení incidentů. Lhůty pro hlášení kybernetických bezpečnostních incidentů jsou přísné a jejich nedodržení může vést k citelným sankcím. Organizace jsou povinny hlásit závažné incidenty nejprve formou včasného varování do čtyřiadvaceti hodin od okamžiku, kdy se o incidentu dozví, a následně podat podrobnější oznámení do sedmdesáti dvou hodin. Tato pravidla jsou přímo převzata ze směrnice NIS2 a jejich zakotvení do českého práva bylo jedním z prioritních úkolů legislativního procesu.

Nelze opomenout ani otázku odpovědnosti vedoucích pracovníků, která je v novém zákoně pojata výrazně přísněji než v předchozí úpravě. Statutární orgány regulovaných subjektů nesou přímou odpovědnost za to, že jejich organizace plní zákonné povinnosti v oblasti kybernetické bezpečnosti, a nemohou se jednoduše zbavit odpovědnosti poukazem na to, že o konkrétních technických záležitostech nerozhodovaly. Tato změna filozofie je v souladu s duchem směrnice NIS2, která klade důraz na to, aby kybernetická bezpečnost nebyla vnímána jako čistě technická agenda, ale jako záležitost strategického řízení celé organizace.

Sankční mechanismus, který nová česká právní úprava zavádí, je výrazně přísnější než ten, který platil doposud. Maximální výše pokut dosahuje v případě základních subjektů až deseti milionů eur nebo dvou procent celkového ročního obratu, přičemž se použije ta hodnota, která je vyšší. Pro důležité subjekty jsou limity o něco nižší, přesto jde o částky, které mohou mít pro postižené organizace existenční dopady. Tento přístup byl záměrně zvolen proto, aby sankce měly skutečně odstrašující účinek a aby organizace nebyly v pokušení investice do kybernetické bezpečnosti odkládat nebo podceňovat.

Celý implementační proces provázely živé diskuse mezi státem, podnikatelskou sférou a odbornou veřejností. Mnohé organizace upozorňovaly na to, že nové požadavky jsou finančně i administrativně náročné a že zejména menší subjekty budou mít problém je v krátkém čase splnit. NÚKIB na tyto obavy reagoval přípravou metodických materiálů a různých nástrojů, které mají regulovaným subjektům usnadnit orientaci v nových povinnostech a jejich praktické naplňování.

Technická opatření vyžadovaná směrnicí

Směrnice o kybernetické bezpečnosti, která vstoupila v platnost jako klíčový regulatorní nástroj pro členské státy Evropské unie, přináší celou řadu konkrétních technických opatření, jež musí organizace spadající pod její působnost implementovat do svých každodenních provozních procesů. Tato opatření nejsou pouhými doporučeními nebo nezávaznými radami, ale jedná se o závazné požadavky, jejichž nesplnění může vést k citelným sankcím, které mohou dosáhnout výše několika procent z celkového ročního obratu dotčeného subjektu.

Jedním z nejzásadnějších technických požadavků, které směrnice klade na povinné subjekty, je zavedení komplexního systému řízení bezpečnosti informací, jenž musí pokrývat veškeré aspekty digitální infrastruktury organizace. Tento systém musí být pravidelně přezkoumáván a aktualizován v závislosti na vývoji hrozeb, přičemž organizace jsou povinny dokumentovat veškeré provedené změny a jejich zdůvodnění. Nestačí tedy pouze jednou nastavit bezpečnostní politiku a zapomenout na ni — směrnice vyžaduje živý a dynamický přístup k celé problematice kybernetické bezpečnosti.

Dalším klíčovým technickým opatřením je povinnost zavést účinné mechanismy pro detekci kybernetických incidentů a reakci na ně. Organizace musí být schopny v reálném čase nebo s minimálním zpožděním identifikovat bezpečnostní události, analyzovat jejich povahu a závažnost a okamžitě aktivovat předem připravené postupy pro zvládnutí situace. To v praxi znamená, že povinné subjekty musí disponovat technologiemi, jako jsou systémy pro správu bezpečnostních informací a událostí, takzvané SIEM systémy, nebo nástroje pro detekci a reakci na hrozby na úrovni koncových zařízení.

Šifrování dat představuje další nezpochybnitelný pilíř technických opatření vyžadovaných směrnicí. Organizace jsou povinny zajistit, aby citlivé informace byly chráněny prostřednictvím kryptografických metod jak při přenosu, tak při uložení. Nestačí přitom použít jakékoli šifrování — musí se jednat o aktuálně uznávané a bezpečné algoritmy, které odpovídají současnému stavu poznání v oblasti kryptografie. Použití zastaralých nebo prolomených šifrovacích standardů by bylo v přímém rozporu s duchem i literou směrnice.

Směrnice také explicitně požaduje, aby organizace zavedly robustní procesy pro správu přístupových práv a identit uživatelů. To zahrnuje nejen zavedení vícefaktorového ověřování pro přístup ke kritickým systémům a datům, ale také pravidelné přezkumy přidělených oprávnění a okamžité odebírání přístupů zaměstnancům, kteří organizaci opustili nebo změnili pracovní pozici. Princip nejmenšího oprávnění, tedy přidělování pouze těch přístupových práv, která jsou nezbytně nutná pro výkon konkrétní pracovní funkce, musí být v organizaci systematicky prosazován.

Zálohování dat a plánování obnovy po havárii tvoří další neodmyslitelnou součást technických požadavků. Organizace musí mít jasně definované postupy pro pravidelné zálohování kritických dat, přičemž zálohy musí být ukládány na oddělených, ideálně fyzicky vzdálených místech, aby byly chráněny před lokálními katastrofami nebo cílenými kybernetickými útoky, jako je ransomware. Plány obnovy musí být pravidelně testovány, a to nikoli pouze na papíře, ale formou skutečných cvičení, která ověří, zda jsou organizace skutečně schopny obnovit provoz v požadovaném čase.

Technická opatření se nevyhýbají ani oblasti bezpečnosti dodavatelského řetězce, která se v posledních letech ukázala jako jedno z nejzranitelnějších míst celé digitální ekonomiky. Organizace jsou povinny hodnotit kybernetická rizika spojená se svými dodavateli a partnery, vyžadovat od nich doložení odpovídající úrovně bezpečnostních opatření a smluvně zakotvit povinnosti v oblasti kybernetické bezpečnosti. Incident v jednom článku dodavatelského řetězce může mít totiž kaskádové dopady na desítky nebo stovky dalších organizací.

Pravidelné provádění penetračních testů a hodnocení zranitelností je rovněž součástí technického rámce, který směrnice vyžaduje. Organizace nesmí spoléhat na to, že jejich systémy jsou bezpečné jen proto, že dosud nebyly napadeny. Proaktivní hledání slabin, ať už vlastními silami nebo prostřednictvím specializovaných externích společností, je nezbytnou podmínkou pro udržení odpovídající úrovně kybernetické odolnosti. Výsledky těchto testů musí být systematicky vyhodnocovány a nalezené zranitelnosti musí být odstraňovány v přiměřených lhůtách odpovídajících jejich závažnosti.

Spolupráce členských států EU v kybernetické ochraně

Členské státy Evropské unie čelí v oblasti kybernetické bezpečnosti výzvám, které přesahují hranice jednotlivých zemí, a právě proto se otázka vzájemné spolupráce stala jedním z klíčových pilířů celé evropské strategie digitální odolnosti. Směrnice o kybernetické bezpečnosti, známá pod označením NIS2, představuje zásadní legislativní rámec, který nejen stanovuje minimální požadavky na zabezpečení kritické infrastruktury, ale zároveň vytváří podmínky pro hlubší koordinaci mezi jednotlivými členskými státy. Bez této koordinace by totiž bylo jen velmi obtížné čelit sofistikovaným kybernetickým útokům, které nezřídka cílí na více zemí současně a jejichž původci dokáží využívat slabých míst v národních systémech ochrany.

Jedním z nejvýznamnějších nástrojů, které směrnice zavádí, je posílení role skupiny pro spolupráci, tzv. Cooperation Group, která sdružuje zástupce členských států, Evropské komise a Agentury Evropské unie pro kybernetickou bezpečnost, tedy ENISA. Tato skupina se schází pravidelně a jejím úkolem je nejen vyměňovat si informace o aktuálních hrozbách, ale také slaďovat národní přístupy k implementaci směrnice tak, aby nevznikaly zbytečné rozdíly, které by mohly být zneužity útočníky. Praxe totiž ukazuje, že kybernetičtí zločinci velmi dobře vědí, kde jsou slabá místa, a cíleně je vyhledávají.

Důležitou součástí spolupráce je rovněž síť CSIRT, tedy týmů pro reakci na počítačové bezpečnostní incidenty. Každý členský stát je povinen mít funkční národní CSIRT, přičemž tyto týmy jsou navzájem propojeny a sdílejí informace o probíhajících incidentech v reálném čase. Tato síť umožňuje rychlou reakci na hrozby, které se mohou šířit přes hranice v řádu minut, a její efektivita závisí právě na ochotě jednotlivých států sdílet i citlivé informace, které by jinak mohly zůstat skryty z důvodu ochrany národních zájmů nebo obchodního tajemství.

Směrnice NIS2 také výrazně posiluje požadavky na hlášení incidentů. Organizace, které spadají do působnosti směrnice, jsou povinny hlásit závažné kybernetické incidenty nejprve svému národnímu CSIRT nebo příslušnému orgánu, a to do 24 hodin od okamžiku, kdy se o incidentu dozví. Tato povinnost přispívá k tomu, že příslušné orgány mají aktuální přehled o situaci a mohou v případě potřeby varovat ostatní členské státy nebo koordinovat společnou reakci. Bez takovéto povinnosti by mnohé incidenty zůstaly utajeny a ostatní státy by neměly možnost se na podobné útoky připravit.

Nelze opomenout ani roli, kterou v celém systému spolupráce hraje agentura ENISA. Tato agentura funguje jako jakési znalostní centrum celé Evropské unie v oblasti kybernetické bezpečnosti a její úloha se s přijetím směrnice NIS2 výrazně rozšířila. ENISA vydává pravidelné zprávy o stavu kybernetické bezpečnosti v Evropě, poskytuje metodickou podporu členským státům při implementaci směrnice a organizuje společná cvičení, při nichž si státy procvičují koordinovanou reakci na rozsáhlé kybernetické incidenty. Tato cvičení, označovaná jako Cyber Europe, jsou klíčová pro ověření toho, zda jsou nastavené postupy skutečně funkční, a pro odhalení slabých míst, která je třeba před skutečným útokem odstranit.

Spolupráce v oblasti kybernetické bezpečnosti však naráží i na řadu praktických překážek. Jednou z nich je různá úroveň technické vyspělosti a finančních možností jednotlivých členských států, která způsobuje, že zatímco některé země disponují špičkově vybavenými CSIRT týmy a sofistikovanými systémy detekce hrozeb, jiné teprve budují základní kapacity. Směrnice na tuto skutečnost reaguje tím, že počítá s mechanismy vzájemné pomoci, kdy vyspělejší státy mohou poskytovat podporu těm, které ji potřebují. Jde o přístup, který vychází z prosté logiky: kybernetická bezpečnost celé Evropské unie je stejně silná jako její nejslabší článek.

Přeshraniční spolupráce se ukazuje jako naprosto nezbytná zejména v případě ochrany kritické infrastruktury, která je v mnoha případech propojena přes hranice států. Energetické sítě, dopravní systémy nebo finanční instituce fungují v evropském prostoru jako jeden celek, a kybernetický útok na klíčový uzel v jedné zemi může mít okamžité dopady na fungování celého kontinentu. Právě proto směrnice klade zvláštní důraz na identifikaci přeshraničních závislostí a na koordinaci ochranných opatření mezi státy, jejichž kritická infrastruktura je vzájemně propojena.

Implementace směrnice do národních právních řádů probíhá v jednotlivých členských státech různým tempem, a to i přesto, že lhůta pro transpozici již uplynula. Tato skutečnost je zdrojem určitého napětí, protože nerovnoměrná implementace narušuje jednotnost celého systému a může vytvářet bezpečnostní mezery, které jsou pro útočníky velmi lákavé. Evropská komise proto situaci pečlivě sleduje a v případě potřeby je připravena zahájit řízení o porušení povinností vůči státům, které ve svých závazcích zaostávají. Celkově lze říci, že spolupráce členských států EU v oblasti kybernetické ochrany dosáhla v posledních letech výrazného pokroku, avšak cesta k opravdu jednotnému a odolnému evropskému kybernetickému prostoru je stále ještě dlouhá.

Budoucnost kybernetické bezpečnosti v Evropě

Evropa se nachází na křižovatce digitální transformace, přičemž otázka kybernetické bezpečnosti se stává stále naléhavější. Směrnice o kybernetické bezpečnosti, která prošla v posledních letech výraznou evolucí, představuje základní kámen ochrany digitální infrastruktury celého kontinentu. Budoucnost kybernetické bezpečnosti v Evropě bude z velké části formována tím, jak jednotlivé členské státy implementují a dodržují závazky vyplývající z těchto směrnic.

Když se podíváme na aktuální stav věcí, je zřejmé, že kybernetické hrozby neustále rostou jak v počtu, tak ve své sofistikovanosti. Ransomwarové útoky, phishingové kampaně a státem sponzorované kybernetické operace se stávají každodenní realitou pro podniky, vládní instituce i kritickou infrastrukturu. Právě proto evropská směrnice o kybernetické bezpečnosti klade důraz na proaktivní přístup k ochraně digitálních systémů, nikoli pouze na reaktivní opatření po útoku.

Nová generace směrnic, zejména NIS2, rozšiřuje záběr regulace na mnohem širší spektrum odvětví a organizací. Zatímco původní směrnice se zaměřovala především na provozovatele základních služeb a poskytovatele digitálních služeb, NIS2 přináší přísnější požadavky na řízení rizik, hlášení incidentů a bezpečnostní opatření pro tisíce dalších subjektů napříč celou Evropskou unií. To znamená, že organizace, které dříve nemusely splňovat žádné specifické kybernetické požadavky, se nyní ocitají pod regulatorním dohledem.

Implementace těchto směrnic však není bez výzev. Mnoho členských států čelí nedostatku kvalifikovaných odborníků v oblasti kybernetické bezpečnosti, což představuje vážnou překážku při naplňování regulatorních požadavků. Odhaduje se, že v celé Evropě chybí statisíce specialistů na kybernetickou bezpečnost, přičemž tento deficit se s každým rokem prohlubuje. Vzdělávací systémy nestačí tempu, jakým roste poptávka po těchto profesionálech, a proto se otázka rozvoje lidského kapitálu v oblasti kybernetické bezpečnosti stává klíčovou součástí evropské strategie.

Koordinace mezi členskými státy hraje v tomto kontextu nezastupitelnou roli. Evropská agentura pro kybernetickou bezpečnost, známá pod zkratkou ENISA, se stává stále důležitějším hráčem při harmonizaci přístupů k implementaci směrnic a sdílení informací o hrozbách. Bez efektivní spolupráce na úrovni celé Unie by bylo téměř nemožné čelit sofistikovaným kybernetickým útokům, které nezastavují žádné státní hranice.

Technologický pokrok přináší do oblasti kybernetické bezpečnosti jak nové příležitosti, tak nová rizika. Umělá inteligence je stále více využívána jak obránci, tak útočníky, přičemž budoucí směrnice budou muset reflektovat tuto novou realitu. Automatizované systémy detekce hrozeb, prediktivní analytika a strojové učení se stávají nepostradatelnými nástroji v arzenálu kybernetické obrany. Na druhou stranu, stejné technologie umožňují útočníkům vytvářet sofistikovanější a hůře odhalitelné útoky.

Kvantové výpočty představují další dimenzi, se kterou budou muset budoucí směrnice počítat. Jakmile se kvantové počítače stanou dostupnými pro širší okruh aktérů, stávající kryptografické metody ochrany dat mohou být zásadně ohroženy. Evropa si tuto hrozbu uvědomuje a již dnes investuje do výzkumu post-kvantové kryptografie, která by měla zajistit bezpečnost digitální komunikace i v éře kvantových počítačů.

Finanční aspekt kybernetické bezpečnosti nelze přehlížet. Implementace požadavků vyplývajících ze směrnic představuje pro mnoho organizací, zejména malých a středních podniků, značnou finanční zátěž. Evropská unie si tento problém uvědomuje a hledá způsoby, jak podpořit menší subjekty při plnění regulatorních povinností, ať už prostřednictvím dotačních programů, sdílených bezpečnostních platforem nebo zjednodušených postupů pro certifikaci.

Důvěra veřejnosti v digitální technologie a online služby je dalším faktorem, který bude formovat budoucnost kybernetické bezpečnosti v Evropě. Každý závažný kybernetický incident, který se dostane do médií, podrývá důvěru občanů v digitální infrastrukturu a může mít dalekosáhlé ekonomické i společenské důsledky. Směrnice o kybernetické bezpečnosti proto nejsou jen technickým nástrojem ochrany systémů, ale také nástrojem budování a udržování důvěry v digitální ekonomiku jako celek.

Mezinárodní rozměr kybernetické bezpečnosti nabývá na důležitosti v kontextu geopolitického napětí posledních let. Kybernetické operace se staly standardní součástí státní politiky mnoha zemí, přičemž hranice mezi špionáží, sabotáží a válečnými akcemi se v kybernetickém prostoru stírá. Evropská unie musí v tomto prostředí nejen chránit svou vlastní infrastrukturu, ale také aktivně přispívat k formování mezinárodních norem chování v kybernetickém prostoru. Budoucí směrnice budou muset zohledňovat tuto geopolitickou realitu a připravit evropské organizace na hrozby státních aktérů.

Celkově lze říci, že budoucnost kybernetické bezpečnosti v Evropě bude záviset na schopnosti kontinentu reagovat na rychle se měnící hrozby, investovat do potřebných technologií a lidských zdrojů a udržovat efektivní spolupráci jak na úrovni členských států, tak na mezinárodní scéně. Směrnice o kybernetické bezpečnosti poskytují nezbytný regulatorní rámec, avšak jejich skutečná hodnota se projeví teprve tehdy, když budou důsledně implementovány a průběžně aktualizovány v souladu s vývojem hrozebného prostředí.